AI Nasıl Veri Kaçırma Kanalı Haline Geldi

Şirket liderleri, üretkenliği ve inovasyonu hızlandırmak için AI araçlarına milyarlarca dolar yatırım yaptı. Ancak son veriler, birçok organizasyonun öngörmediği ciddi bir riski ortaya koyuyor. Çalışanları daha hızlı çalışmasına yardımcı olan aynı AI platformları, şirket çevrelerini terk eden hassas verilerin en büyük kanalı haline geldi. Yakın zamanda yapılan araştırmalar, çalışanların %77’sinin verileri üretken AI araçlarına yapıştırdığını ve yüklenen dosyaların %40’ının kişisel olarak tanımlanabilir bilgi veya ödeme kartı verilerini içerdiğini gösteriyor. Bu, doğru güvenlik kontrollerine sahip olduklarını düşünen şirketlerde, büyük ölçekte ve günlük olarak gerçekleşiyor. Bu, şirketlerin AI’nin nasıl kullanıldığını düşündüğü ile gerçekte çalışanların bu araçlarla günlük olarak nasıl etkileşimde bulunduğu arasında temel bir kopukluğu gösteriyor. Bu değişimi anlamak, yeni gerçekliğe uygun güvenlik stratejileri oluşturmanın ilk adımı.

AI Nasıl Yeni Veri Kaçırma Vektörü Haline Geldi

İki yıl önce, üretken AI, şirket iş akışlarında neredeyse yoktu. Bugün, tüm şirket çalışanlarının %45’i aktif olarak AI platformlarını kullanıyor ve tüm şirket faaliyetlerinin %11’i bu araçlarda gerçekleşiyor. ChatGPT alone, çalışanların %43’üne ulaştı, diğer iletişim platformlarının decades içinde ulaştığı bir oran.

Bu benimseme hızı, bir güvenlik boşluğu yarattı. Geleneksel veri kaybı önleme sistemleri, dosya aktarımı, e-posta ekleri ve ağ trafiği için tasarlandı. Çalışanların.prompt kutularına veya sohbet arayüzlerine neler yazdığını veya yapıştırdıklarını izlemek için tasarlanmadılar. Bu kör nokta, hassas bilgilerin birincil kaçış yoluna dönüştü.

Üretken AI, şirket hesaplarından kişisel hesaplara yapılan tüm veri hareketlerinin %32’sini oluşturuyor. Bu, veri kaçırmanın en büyük kanalı haline geliyor ve dosya paylaşımını, e-postayı ve güvenlik ekiplerinin yıllarca güvence altına almaya çalıştığı diğer tüm kanalları aşiyor. Sorun sadece hacim değil, aynı zamanda kaçırmanın doğası. Birisi bir belgeyi dosya sunucusuna yüklediğinde, bir kayıt vardır. Birisi müşteri verilerini AI promtuna yapıştırdığında, bu aktarım genellikle herhangi bir günlüğe kaydetme veya izleme sistemi dışında gerçekleşir.

Kişisel Hesap Sorunu

Sorun, AI aracı kullanım değil, çalışanların bu araçlara nasıl eriştiği ile ilgili. Şirket güvenlik modelleri, çalışanların tek oturum açma kimlik doğrulaması, günlüğe kaydetme ve denetim ile şirket hesaplarını kullandığını varsayar. Veriler, bu varsayımın yanlış olduğunu ve AI kullanımının %67’sinin yönetilmeyen kişisel hesaplardan gerçekleştiğini gösteriyor. Bunlar, Gmail adresleri, kişisel Microsoft (MSFT ) hesapları veya şirket kimlik sistemlerini tamamen atlayan doğrudan kayıtlardır. Birisi kişisel e-postası ile ChatGPT’ye giriş yaptığında, şirket, sordukları soruları, paylaştıkları verileri veya cevaplarda ortaya çıkabilecek hassas bilgileri göremez.

Çalışanlar şirket hesaplarını kullandıklarında, bu kimlik bilgilerinin genellikle federasyonu yoktur. ERP girişlerinin %83’ü ve CRM girişlerinin %71’i tek oturum açma olmadan gerçekleşiyor. Bu, şirket girişinin neredeyse kişisel bir hesaba göre daha fazla güvenlik veya görünürlük sağlamadığı anlamına geliyor. Kullanıcı adı şirket etki alanını içerebilir, ancak kimlik doğrulama atlaması, kişisel bir hesapla aynı görünmez veri akışlarına izin verir.

Kopyala ve Yapıştıra: Görünmez Veri Kaçırma

Geleneksel veri kaybı önleme (DLP) stratejileri, dosya sistemleri üzerine inşa edildi. Yüklemeleri, indirmeleri ve ekleri izlerler. Ancak veriler, gerçek veri kaçırma kaynağının dosyalar olmadığını gösteriyor. Kopyala ve yapıştırma. Çalışanların %77’si verileri üretken AI araçlarına yapıştırıyor. Bu faaliyetin %82’si yönetilmeyen kişisel hesaplardan geliyor. Ortalama olarak, her çalışan günlük olarak kişisel hesaplarını kullanarak 15 yapıştırma işlemi yapıyor ve bu işlemlerin en az dördü hassas kişisel olarak tanımlanabilir verileri veya ödeme kartı bilgilerini içeriyor.

Bu, hassas bilginin artık sadece dosya yüklemeleri aracılığıyla değil, aynı zamanda direkt olarak promtlara, sohbet pencerelerine ve metin alanlarına enjekte edildiği anlamına geliyor. Bu dosyaysız transferler, geleneksel DLP çözümlerine neredeyse görünmez. Yüksek frekansla, birden fazla platformda ve şirket denetimi dışında gerçekleşiyorlar.

Sonuç, şirket dışına sürekli bir hassas veri akışıdır. Kopyala ve yapıştırma, yeni kaçırma kanalı haline geldi ve AI araçları bu kanalların birincil hedefi.

İzinsiz Hesaplarda Hassas Dosyalar

Dosya yüklemeleri, şirket iş akışlarının merkezi bir parçası olmaya devam ediyor. Ancak destinasyonlar değişti. Çalışanlar, yüklemeleri artık sadece onaylı depolama veya e-posta ile sınırlı tutmuyor. Dosyaları üretken AI araçlarına, tüketici uygulamalarına ve gölge SaaS platformlarına taşıyorlar.

Veriler, üretken AI araçlarına yüklenen dosyaların %40’ının kişisel veya finansal verileri içerdiğini gösteriyor. Dosya depolama platformlarına yüklenen dosyaların %41’i aynı verileri içeriyor. Bu yüklemelerin neredeyse dörtte üçü kişisel hesaplardan gerçekleşiyor.

Bu, hassas verilerin şirketlerin görünürlüğü veya kontrolü olmayan ortamlara aktarıldığı anlamına geliyor. Bir dosya, kişisel bir Google Drive, WhatsApp sohbeti veya AI promtuna yüklenirse,effectively şirket sınırları dışında kalıyor. İzlenemez, kısıtlanamaz veya silinemez.

Destinasyonlar çeşitlilik gösteriyor. Şirket araçları gibi Egnyte ve Zendesk, tüketici platformları gibi Canva, LinkedIn ve WhatsApp ile birlikte görünüyor. Şirket ve tüketici ekosistemlerinin bu birleşmesi, şirket verilerinin nerede olduğu konusunda belirsizlik yaratıyor. Ayrıca, onaylı kanallar ve merkezi kontrol için tasarlanan geleneksel DLP’nin sınırlarını da ortaya koyuyor.

Şirket Güvenliği için Ne Anlama Geliyor

Geleneksel güvenlik sınırı çöktü. Verileri, ağları yöneterek, uç noktaları güvence altına alarak ve onaylı uygulamaları izleyerek kontrol etmek mümkündü. Bu model, işin şirket sistemleri içinde gerçekleştiğini ve dış platformların sadece kontrol edilen kanallar aracılığıyla偶 olarak kullanıldığını varsayar.

Gerçekte, iş artık tarayıcılar içinde, onlarca uygulama arasında, hem şirket hem de kişisel hesaplar kullanılarak ve geleneksel araçların göremediği kanallar aracılığıyla gerçekleşiyor. Bir çalışan, müşteri sorununu araştırırken, iç sistemleri arayabilir, bulgularını ChatGPT’ye özetlemek için yapıştırabilir, özetini Slack‘e paylaştırmak için kopyalayabilir ve daha sonra gözden geçirmek için kişisel e-postaya iletebilir. Her adım, geleneksel araçların göremediği kanallar aracılığıyla hassas verileri içerir.

Tarayıcı, birincil çalışma ortamı haline geldi, ancak güvenlik kontrolleri bunu takip etmedi. Çalışanlar, uygulamalar arasında geçiş yapıyor ve kişisel araçları ile şirket araçları arasında几乎 bir ayrım yapmıyorlar. Ne çalışırsa, ne kolay gelirse, ne de IT onayını beklemeye gerek duymadan kullanıyorlar. Bu, hassas bilginin sürekli olarak görünmez kanallar aracılığıyla şirket dışına akmasına yol açan bir ortam yaratıyor.

AI Çağı için Şirket Güvenliğini Yeniden Düşünmek

Çözüm, AI araçlarını engellemek veya kişisel hesapları tamamen yasaklamak değil. Bu yaklaşımlar, çalışanların nasıl çalıştığını görmezden gelerek başarısız olur. Bu araçlar, insanların daha üretken olmasını sağladıkları için varlar. Kişisel hesaplar, şirket sağlama işlemlerinin yavaş ve kısıtlayıcı olması nedeniyle yaygındır. Gerçekliği görmezden gelen güvenlik, basitçe atlanacaktır.

Etkili koruma, işin gerçekleştiği tarayıcı düzeyinde görünürlük gerektirir. Bu, sadece dosya yüklemelerini değil, aynı zamanda yapıştırma işlemlerini, form gönderilerini, prompt etkileşimlerini ve sistemler arasında veri hareketinin diğer tüm yollarını izlemek anlamına gelir. Bu, kullandıkları uygulamadan bağımsız olarak şirket hesapları ile kişisel hesaplar arasında ayrım yapan politikaları uygulamak anlamına gelir.

Şirketler, dosya kaybı önleme tedbirlerini dosyaların ötesine taşımalı ve dosyaysız transferleri de içermelidir. ChatGPT’ye gönderilen bir prompt, e-posta ekine aynı dikkati hak etmelidir. Slack’e yapılan bir yapıştırma işlemi, Google Drive’e yapılan bir yükleme ile aynı kontrolleri tetiklemelidir. Transfer yöntemi, güvenlik uygulanıp uygulanmayacağını belirlememelidir.

Kimlik kontrolleri gerçekten uygulanmalıdır. İşletme uygulamalarına erişimi olan kişisel hesaplar aracılığıyla çalışanların仍 erişebilmesi durumunda, tek oturum açma yeterli değildir. Federated kimlik doğrulama, hassas verileri işleyen herhangi bir uygulama için zorunlu olmalıdır, isteğe bağlı değil. Federasyonsuz şirket girişleri, güvenlik riski olarak muamele görmelidir.

Sonuç

AI, şirket yazılımlarının en hızlı büyüyen kategorisi haline geldi. Aynı zamanda veri kaçırmanın birincil kanalı haline geldi. Çalışanların %77’si verileri AI araçlarına yapıştırıyor. Yüklemelerin %40’ı hassas bilgileri içeriyor. Bu faaliyetin çoğunluğu yönetilmeyen hesaplar aracılığıyla gerçekleşiyor. Eski güvenlik sınırı artık yok. Çalışma, tarayıcılar içinde gerçekleşiyor ve basit eylemler gibi yapıştırmalar, güvenlik açıklarına neden olabilir. Güvenlik stratejilerini bu yeni gerçekliğe göre güncellemeyen şirketler, en değerli verilerini already losing kontrolünü kaybetmeye başladılar.